Weryfikacja polityki haseł dla istniejących użytkowników

Niedawno znalazłem się w środowisku, w którym wiele logowań do baz danych nie ma enforce_password_policywłączonej flagi.
Nadchodzący audyt wymaga weryfikacji haseł tych loginów.

Użyłem następującego zapytania, aby uzyskać listę logowania i czy flagi są włączone, czy wyłączone.

select 
    @@SERVERNAME as servername, 
    name, 
    IS_SRVROLEMEMBER('sysadmin', name) as SYSADMIN,
    type_desc,
    create_date,
    is_policy_checked,
    is_disabled,
    password_hash,
    PWDCOMPARE(name, password_hash) as UsernameAsPassword
FROM sys.sql_logins

Nie mówi mi to jednak, czy hasła faktycznie są zgodne z zasadami haseł, ponieważ flaga jest istotna tylko podczas tworzenia użytkownika.

Czy istnieje znany sposób przetestowania istniejących użytkowników pod kątem zgodności z zasadami haseł?
Nie mam dostępu do starych haseł i wolałbym metodę, która ich nie wymaga.

To może nie być popularne wśród twoich użytkowników, ale uważam, że jedynym sposobem, aby wiedzieć na pewno, jest wymuszenie zmiany hasła przy każdym logowaniu SQL CHECK_POLICY = ON. Spowoduje to wygenerowanie zestawu ALTER LOGINpoleceń z pustymi hasłami, możesz zaktualizować zapytanie, nadając im wspólne hasło lub ręcznie zaktualizować każde z osobnym hasłem - po prostu upewnij się, że spełniają twoje zasady. Oczywiście musisz upewnić się, że zasady haseł są tak złożone, jak się spodziewasz i że są włączone (Panel sterowania> Narzędzia administracyjne> Zasady zabezpieczeń lokalnych> Zasady kont> Zasady haseł> Hasło musi spełniać wymagania dotyczące złożoności).

SELECT N'ALTER LOGIN ' + QUOTENAME(name) 
  + N' WITH PASSWORD = N'''' MUST_CHANGE, CHECK_POLICY = ON;' 
  FROM sys.sql_logins 
  --WHERE is_policy_checked = 0;

Steve Jones pisał o tym jakiś czas temu. Zauważ, że - z powodu tego, co odkryłem poniżej - nie możesz polegać na is_policy_checked = 1tym, że hasło faktycznie spełnia twoje obecne zasady, ponieważ login mógł zostać utworzony za pomocą hasła zakodowanego (w takim przypadku hasło zwykłego tekstu nie może być zaznaczone) lub gdy lokalna polityka złożoności była wyłączona (co nadal prowadzi do is_policy_checked = 1).

Innym podejściem, które moim zdaniem zadziałałoby, byłoby utworzenie kopii każdego loginu z ich obecnym password_hashi za pomocą CHECK_POLICY = ONoraz zanotowanie każdego, który się nie powiedzie. To jednak nie działa - nawet przy CHECK_POLICY = ONnie sprawdza poprawności już zakodowanego hasła. Dołączę kod dla potomności - ale z założenia zasady po prostu nie można sprawdzić.

SELECT N'BEGIN TRY
  CREATE LOGIN ' + QUOTENAME(N'copy_of_' + name) 
    + N' WITH PASSWORD = ' 
    + CONVERT(NVARCHAR(255), password_hash, 1)
    + ' HASHED, CHECK_POLICY = ON;
  DROP LOGIN ' + QUOTENAME(N'copy_of_' + name) + ';
END TRY
BEGIN CATCH
  IF ERROR_NUMBER() = 15118
    PRINT N''' + REPLACE(name, '''', '''''') 
      + N' was not complex enough.'';
END CATCH'
FROM sys.sql_logins;

Osobiście uważam, że to błąd. Jeśli składnia pozwala mi utworzyć login przy użyciu zaszyfrowanego hasła i mogę stwierdzić, że hasło to musi spełniać moją zasadę złożoności, powinien wygenerować błąd lub ostrzeżenie, że zasada nie została w rzeczywistości sprawdzona.

AKTUALIZACJA : Złożyłem błąd dotyczący tego zachowania.

• CHECK_POLICY to brak operacji z CREATE LOGIN ... PASSWORD ... HASHED

Nie ma możliwości, aby uzyskać to w 100% dokładne. Chociaż możesz użyć, PWDCOMPAREaby sprawdzić listę słabych haseł (możesz dodać do listy słabych haseł i dokonać porównania).

Napisałem podobny skrypt, który dokonuje porównania i daje wyniki. Zamieściłem go na github .

EDYTOWAĆ:

Teraz możesz mieć listę słabych haseł w pliku csv, a następnie użyć dbatools Test-DbaLoginPasswordz -Dictionaryprzełącznikiem (określa listę haseł, które należy uwzględnić w teście słabych haseł).

Zasady haseł dla SQL Login są tylko flagą włączania i wyłączania. Jeśli flaga Zasady haseł jest zaznaczona, zasady haseł systemu Windows w systemie operacyjnym są egzekwowane.

Sprawdź dokumentację UTWÓRZ LOGOWANIE, aby uzyskać szczegółowe informacje o tym, co dzieje się, gdy są ustawione CHECK_POLICY i CHECK_EXPIRATION.

Możesz zobaczyć ustawienia dla użytkownika SQL, sprawdzając kolumny is_policy_checked i is_expiration_checked w sys.sql_logins

coś jak poniżej:

SELECT name,
create_date,
modify_date,
LOGINPROPERTY(name, 'DaysUntilExpiration') DaysUntilExpiration,
LOGINPROPERTY(name, 'PasswordLastSetTime') PasswordLastSetTime,
LOGINPROPERTY(name, 'IsExpired') IsExpired,
LOGINPROPERTY(name, 'IsMustChange') IsMustChange
From sys.sql_logins ;

W przypadku logowania do uwierzytelniania programu SQL Server:

select * from sys.server_principals where type in ('U','G') - pokaże loginy i grupy, które mogą uzyskać dostęp do SQL Server poprzez uwierzytelnianie systemu Windows.